Page tree
Skip to end of metadata
Go to start of metadata

ma vulnerabilidade crítica, com CvSS 10.0, foi informada para os clientes da SAP e recebeu ontem um alerta do DHS, o Department of Homeland Security do governo dos EUA.

Identificada como HotNews SAP Note # 2934135 nas Notas de segurança da SAP de julho de 2020, a vulnerabilidade RECON (código remotamente explorável no NetWeaver) tem uma pontuação CVSS de 10 em 10 possíveis (a mais grave) e pode ser potencialmente explorada impactando a confidencialidade, a integridade e disponibilidade de aplicativos SAP de missão crítica.

A exploração do bug pode permitir que um invasor levante informações confidenciais, exclua arquivos, execute código, realize sabotagem e muito mais:

  • modificar registros financeiros;
  • alterar detalhes bancários;
  • ler informações de identificação pessoal;
  • administrar processos de compras;
  • sabotar ou interromper operações;
  • alcançar a execução de comandos do sistema operacional;
  • excluir ou modificar traces, logs e outros arquivos.

O bug foi nomeado RECON pelos pesquisadores do Onapsis Research Labs que o encontraram e afeta mais de 40.000 clientes da SAP, eles observaram. A SAP entregou um patch para o problema na terça-feira.

“Um invasor que alavancar essa vulnerabilidade terá acesso irrestrito a informações e processos críticos de negócios em vários cenários diferentes”, de acordo com a empresa.

Problemas no NetWeaver Java - O bug afeta um componente padrão presente em todos os aplicativos SAP que executam em stack SAP NetWeaver Java, de acordo com a Onapsis. Esse componente técnico é usado em muitas soluções de negócios da SAP, como SAP S/4HANA, SAP SCM, SAP SRM, SAP CRM, SAP Enterprise Portal, SAP Solution Manager (SolMan) e muitos outros, disseram pesquisadores.

"Com o SAP NetWeaver Java sendo uma camada base fundamental para vários produtos SAP, o impacto específico variaria dependendo do sistema afetado", disseram os pesquisadores da Onapsis em uma análise técnica divulgada na terça-feira. “Em particular, existem diferentes soluções SAP em execução no NetWeaver Java que compartilham uma particularidade comum: elas são hiperconectadas por meio de APIs e interfaces. Em outras palavras, esses aplicativos são anexados a outros sistemas, internos e externos, geralmente aproveitando relações de confiança de alto privilégio. "

O bug permitiria que um invasor não autenticado (sem nome de usuário ou senha necessário) criasse um novo usuário SAP com privilégios máximos, ignorando todos os controles de acesso e autorização (como segregação de funções, gerenciamento de identidades e governança, soluções de risco e conformidade) e obtendo controle total dos sistemas SAP.

E, embora isso seja ruim o suficiente, o risco da vulnerabilidade RECON aumenta quando as soluções afetadas são expostas à Internet, para conectar empresas com parceiros de negócios, funcionários e clientes. Esses sistemas - segundo a Onapsis, existem pelo menos 2.500 deles - têm uma maior probabilidade de ataques remotos, disseram os pesquisadores. Dessas instalações vulneráveis, 33% estão na América do Norte, 29% na Europa e 27% na Ásia-Pacífico.

Os patchs da SAP devem ser aplicados imediatamente, recomendaram os pesquisadores - embora, devido à complexidade dos aplicativos de missão crítica e às janelas de manutenção limitadas, as organizações sejam desafiadas a aplicar rapidamente as notas de segurança da SAP, reconheceu a equipe da Onapsis.

“Para os clientes da SAP, vulnerabilidades críticas como RECON destacam a necessidade de proteger aplicativos de missão crítica, estendendo programas de segurança cibernética e conformidade para garantir que esses aplicativos não estejam mais em um ponto cego ”, afirmou Mariano Nunez, CEO da Onapsis, em comunicado. “Esses sistemas são a força vital dos negócios e estão dentro do escopo de requisitos rígidos de conformidade; portanto, simplesmente não há nada mais importante a ser protegido. "

Fonte: Onapsis (15/07/2020)

Informações SAP: SAP Security Patch Day – July 2020 

Solução recomendada FH


Outras vulnerabilidades que sugerimos tratar urgentemente são detalhadas nas notas abaixo:


  •  2835979 [CVE-2020-6262] Code Injection vulnerability in Service Data Download

Link: https://launchpad.support.sap.com/#/notes/2835979

 

  • 2839864 Update 2 to Security Note 2808158: [CVE-2019-0330] OS Command Injection vulnerability in SAP Diagnostics Agent

Link: https://launchpad.support.sap.com/#/notes/2839864

 

  • 2823733 Update 1 to Security Note 2808158: [CVE-2019-0330] OS Command Injection vulnerability in SAP Diagnostics Agent

Link: https://launchpad.support.sap.com/#/notes/2823733

 

  • 2808158 [CVE-2019-0330] OS Command Injection vulnerability in SAP Diagnostics Agent

Link: https://launchpad.support.sap.com/#/notes/2808158

 

  • 2798336 [CVE-2019-0355]Code Injection vulnerability in SAP NetWeaver AS for Java(Web Container)

Link: https://launchpad.support.sap.com/#/notes/2798336

 

  • 2813811 [CVE-2019-0345 ]Server-Side Request Forgery in SAP NetWeaver Application Server for Java (Administrator System Overview)

Link: https://launchpad.support.sap.com/#/notes/2813811

 

Conte com o time da FH para apoiá-lo nesta análise e aplicação das correções sugeridas.


  • No labels